Podatności Linux kernel

W jądrze Linux w kliencie SMB (smb/client) występuje podatność w funkcji fallocate, która może pomijać dziury (holes) w plikach, gdy serwer zwraca zakres przydzielony zaczynający się przed bieżącym offsetem. Prowadzi to do sytuacji, w której późniejszy zapis do pominiętego obszaru może zakończyć się błędem ENOSPC.

W jądrze Linux na architekturze s390 występuje podatność w funkcji csum_partial(), która na maszynach bez wektorów oblicza sumę kontrolną z adresu zerowego zamiast z bufora źródłowego. Powoduje to błędne sumy kontrolne.

W jądrze Linux w serwerze SMB (ksmbd) występuje podatność polegająca na użyciu zwolnionej pamięci (use-after-free) podczas asynchronicznego powiadamiania o przerwaniu oplock. Wskaźnik do struktury ksmbd_conn jest przechowywany w asynchronicznym zadaniu bez odpowiedniego zabezpieczenia referencją, co może prowadzić do dostępu do zwolnionej pamięci.

W jądrze Linux w kliencie SMB funkcja parse_dfs_referrals() nie walidowała wartości PathConsumed w odpowiedzi DFS. Złośliwa odpowiedź z zawyżoną wartością PathConsumed może spowodować, że późniejsze parsowanie ścieżki DFS wyjdzie poza jej koniec.

W jądrze Linux w module AMT (Automatic Multicast Tunneling) wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free). Kilka ścieżek odbierania i wysyłania pakietów zapisuje wskaźnik do nagłówka skb, a następnie wywołuje funkcje, które mogą przenieść dane (np. pskb_may_pull), przez co wskaźnik staje się nieaktualny. Atakujący może to wykorzystać do eskalacji uprawnień lub wycieku informacji.

W jądrze Linuxa w podsystemie SCTP funkcja sctp_auth_chunk_verify() zwraca true bezwarunkowo, gdy chunk->auth_chunk jest NULL, pomijając weryfikację uwierzytelniania. Poprawka sprawdza sctp_auth_recv_cid() w takim przypadku i odrzuca chunk, jeśli uwierzytelnianie jest wymagane.

W jądrze Linuxa wykryto podatność w implementacji MPTCP, polegającą na pozostawieniu nieaktualnego wskaźnika skb->sk do zamykanego podprzepływu (subflow). Czyszczenie listy zaległych pakietów (backlog) odbywało się bez odpowiedniej synchronizacji, co mogło prowadzić do użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux w module SCTP gniazda tunelowania UDP nie były zamykane podczas usuwania przestrzeni nazw sieciowych, co mogło prowadzić do wyścigów i nieprawidłowego stanu. Poprawka zamyka te gniazda w funkcji sctp_ctrlsock_exit() po wyrejestrowaniu tabeli sysctl.

W jądrze Linux w funkcji ceph_handle_caps() wykryto podatność na odczyt poza zakresem przed uwierzytelnieniem. Atakujący lub skompromitowany serwer MDS może ustawić długość snaptrace na 0xFFFFFFFF, co prowadzi do odczytu poza buforem wiadomości i dalszych odczytów poza zakresem.

W jądrze Linux w module libceph długość list pg_temp, pg_upmap i pg_upmap_items nie była ograniczana do CEPH_PG_MAX_SIZE, co mogło prowadzić do zapisu poza stosem. Poprawka odrzuca wpisy dłuższe niż 32 podczas dekodowania.

W jądrze Linux w module libceph podczas dekodowania osdmap może wystąpić przepełnienie mnożenia, co prowadzi do nieprawidłowej kontroli granic i odczytów poza pamięcią. Poprawka używa check_mul_overflow() do wykrywania przepełnienia i odrzucania uszkodzonych wiadomości.

W jądrze Linux w module libceph po aktualizacji autoryzatora bufor auth->authorizer_buf może wskazywać na zwolnioną pamięć, co prowadzi do użycia po zwolnieniu. Poprawka odświeża te wskaźniki po przebudowie autoryzatora.

W jądrze Linux w module libceph typ wiadra CRUSH równy 0 był akceptowany, co mogło prowadzić do indeksowania tablicy wag OSD ujemną wartością. Poprawka odrzuca takie typy podczas dekodowania mapy CRUSH.

W jądrze Linux w module phonet (podsystem PEP), funkcja pep_get_sb() nie uwzględnia, że pskb_may_pull() może przenieść dane skb, i nadal używa starego wskaźnika, co prowadzi do użycia po zwolnieniu (use-after-free). Problem został potwierdzony przez KASAN.

W jądrze Linux w podsystemie net/x25 występuje podatność use-after-free w funkcji x25_kill_by_neigh(). Funkcja przeszukuje globalną listę gniazd X.25, ale po zwolnieniu blokady listy nie zabezpiecza czasu życia gniazda. Równoczesne zamknięcie gniazda może usunąć je z listy i zwolnić pamięć, a następnie funkcja używa zwolnionego obiektu. Poprawka dodaje zabezpieczenie przez socker_hold() i ponowne sprawdzenie połączenia.

W jądrze Linuxa wykryto podatność w mechanizmie GRO (Generic Receive Offload), która pozwala na ponowną agregację pakietów oznaczonych flagą flush. Brak walidacji tej flagi w funkcji skb_gro_receive_list() prowadzi do uszkodzenia łańcucha frag_list, co może skutkować awarią systemu (kernel panic) podczas przetwarzania pakietów w ścieżce transmisji.

W jądrze Linuxa w module ILA (Identifier Locator Addressing) po wywołaniu pskb_may_pull() wskaźnik do nagłówka IPv6 może być nieaktualny, co prowadzi do użycia po zwolnieniu. Poprawka przeładowuje wskaźnik po każdym pskb_may_pull().

W jądrze Linux wykryto podatność w sterowniku MCTP serial, gdzie ramka o zerowej długości omija walidację i powoduje zapis poza granicami bufora. Atakujący z uprawnieniami CAP_NET_ADMIN może doprowadzić do przepełnienia bufora i zapisu poza pamięcią.

W jądrze Linuxa w module openvswitch podczas segmentacji pakietów GSO dla akcji userspace może wystąpić niedomiar długości, prowadzący do nieprawidłowego działania skb_zerocopy(). Poprawka przechowuje maksymalną zachowaną długość i ogranicza konsumentów.

W jądrze Linux w funkcji tipc_sk_create() podczas nieudanego wstawienia nowego gniazda TIPC, wskaźnik sock->sk nie jest zerowany, co prowadzi do użycia po zwolnieniu (use-after-free) w ścieżce accept(). Problem występuje, gdy tablica mieszająca gniazd osiągnie maksymalny rozmiar (około 2 milionów gniazd w przestrzeni nazw sieci).

W jądrze Linuxa w serwerze ksmbd (SMB) występuje podatność polegająca na błędnym rozwiązywaniu ścieżek w funkcji ksmbd_vfs_kern_path_create. Atakujący może wykorzystać składnik '..' do wyjścia poza udostępniony zasób, co prowadzi do eskalacji uprawnień lub nieautoryzowanego dostępu.

W jądrze Linux w funkcji decode_lockers() w libceph wykryto dwie niebezpieczne operacje dekodowania, które pozwalają złośliwemu lub skompromitowanemu serwerowi OSD na wywołanie odczytów poza granicami bufora (slab-out-of-bounds). Brak kontroli granic przed odczytem liczby zamków (num_lockers) oraz typu zamka (type) może prowadzić do nieautoryzowanego odczytu pamięci. Luka została naprawiona przez zastąpienie niebezpiecznych operacji bezpiecznymi wariantami z kontrolą granic.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci (double-free) w funkcji SMB2_close() podczas powtarzania żądania. Jeśli odpowiedź zwróci błąd możliwy do powtórzenia i zwolni bufor odpowiedzi, a następnie inicjalizacja SMB2_close_init() nie powiedzie się przed kolejnym wysłaniem, bufor zostanie zwolniony ponownie.

W jądrze Linux w xfrm iptfs występuje brak propagacji flagi SKBFL_SHARED_FRAG podczas kopiowania fragmentów w funkcji iptfs_skb_add_frags(). Jeśli źródłowy SKB zawiera współdzielone fragmenty, nowy wewnętrzny SKB może być błędnie traktowany jako posiadający prywatne fragmenty, co prowadzi do zapisu do pamięci nadal używanej przez zewnętrzny SKB. Poprawka ustawia flagę SKBFL_SHARED_FRAG w pętli po każdym dodaniu fragmentu.

W jądrze Linuxa w protokole SCTP występuje podatność polegająca na użyciu po zwolnieniu (use-after-free) podczas przetwarzania komunikatów ASCONF. Atakujący może wysłać specjalnie skonstruowany pakiet ASCONF, który usuwa transport używany do przetwarzania, a następnie wykorzystuje zwisający wskaźnik, co prowadzi do naruszenia integralności pamięci i potencjalnego przejęcia kontroli.

W jądrze Linux w SCTP podczas obsługi błędu STALE_COOKIE w stanie COOKIE_ECHOED funkcja sctp_sf_do_5_2_6_stale() odczytuje pole staleness z pierwszej przyczyny błędu zamiast z właściwej przyczyny STALE_COOKIE. Może to prowadzić do odczytu poza zakresem i wycieku niezainicjalizowanej pamięci.

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji smc_cdc_rx_handler() dla protokołu SMC-R. Problem wynika z braku utrzymania referencji do gniazda po zwolnieniu blokady conns_lock, co umożliwia współbieżne wywołanie close() i zwolnienie pamięci przed wykonaniem sock_hold().

W podsystemie NVMe/TCP jądra Linuxa, gdy występuje niezgodność sumy kontrolnej danych (digest) w nieostatnim PDU H2C_DATA, funkcja nvmet_tcp_try_recv_ddgst() wywołuje nvmet_req_uninit() bez oznaczania polecenia jako zakończonego. Prowadzi to do podwójnego wywołania nvmet_req_uninit() podczas zamykania kolejki, co skutkuje podwójnym zwolnieniem referencji (double free) i potencjalnym use-after-free (UAF).

W podsystemie NVMe/TCP jądra Linuxa, w funkcji nvmet_tcp_try_recv_ddgst(), wywołanie nvmet_req_uninit() jest wykonywane bezwarunkowo. Jeśli polecenie przyszło przez ścieżkę nvmet_tcp_handle_req_failure(), referencja percpu_ref nie została pobrana, co prowadzi do niedomiaru licznika referencji (refcount underflow) i potencjalnego use-after-free.

Podatność w jądrze Linuxa dotyczy mechanizmu TC_ACT_CONSUMED w funkcji tcf_qevent_handle w pliku net/sched/cls_api.c. Gdy tcf_classify() zwraca TC_ACT_CONSUMED, skb jest przechowywany przez silnik defragmentacji i nie powinien być dalej używany. Brak obsługi tego przypadku prowadzi do użycia po zwolnieniu (UAF) w red_enqueue().

W jądrze Linuxa, w mechanizmie net/handshake, brakowało długotrwałego odwołania do pliku (file reference) podczas przetwarzania żądania uścisku dłoni. Używanie sock_hold() nie chroniło struktury socket przed zniszczeniem przez konsumenta, co mogło prowadzić do użycia po zwolnieniu.

W jądrze Linuxa w funkcji tcp_ao_destroy_sock usunięto wywołanie call_rcu(), co spowodowało brak synchronizacji RCU. W rezultacie podczas nawiązywania połączenia (TCP_SYN_SENT) gniazdo jest widoczne dla innych rdzeni, które mogą odczytać wskaźnik ao_info tuż przed jego zwolnieniem, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w mechanizmie rozgłoszeniowym TIPC (Transparent Inter-Process Communication). Funkcja tipc_get_gap_ack_blks() nie sprawdza, czy rekord bloków ACK z luką mieści się w obszarze danych wiadomości, co pozwala atakującemu na odczyt poza dozwolonym buforem (out-of-bounds read) przez funkcję kmemdup().

W jądrze Linux w module crypto: krb5 występuje użycie po zwolnieniu (use-after-free) podczas korzystania z asynchronicznych implementacji AEAD. Funkcje kryptograficzne ustawiają pusty callback i traktują każdy ujemny wynik jako błąd, zwalniając bufor. Gdy implementacja jest asynchroniczna, zwraca -EINPROGRESS, a bufor jest zwalniany, podczas gdy backend nadal go używa.

W jądrze Linux w podsystemie netfilter flowtable, sprzętowe odciążanie (hardware offload) dla tuneli IPIP nie jest jeszcze obsługiwane. Mimo to, próby odciążania są kolejkowane do workera, a następnie ignorowane, co prowadzi do niepotrzebnego obciążenia. Łatka dodaje wczesne sprawdzanie i rezygnację z odciążania dla tuneli IPIP.

W jądrze Linux w serwerze SMB ksmbd funkcja FSCTL_DUPLICATE_EXTENTS_TO_FILE nie sprawdza uprawnień do zapisu na poziomie udziału ani na poziomie uchwytu, co pozwala klientowi na nadpisywanie danych w pliku docelowym nawet na udziale tylko do odczytu lub z uchwytem z uprawnieniem FILE_WRITE_ATTRIBUTES.

W jądrze Linux w systemie plików ksmbd występuje problem z równoczesnym dostępem do katalogów. Współbieżne żądania QUERY_DIRECTORY dla tego samego uchwytu pliku mogą nadpisać wskaźnik do danych prywatnych na stosie, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w systemie plików ksmbd operacje SET_INFO są wykonywane z bieżącymi poświadczeniami pracownika ksmbd, a nie z poświadczeniami użytkownika, który otworzył uchwyt. Może to prowadzić do ominięcia kontroli dostępu opartych na właścicielu pliku i LSM.

W jądrze Linux w systemie plików ksmbd operacja usuwania przy zamknięciu (delete-on-close) jest wykonywana z poświadczeniami pracownika ksmbd, a nie z poświadczeniami użytkownika, który otworzył uchwyt. Może to prowadzić do ominięcia kontroli dostępu do systemu plików.

W jądrze Linux w systemie plików ksmbd operacje wejścia/wyjścia na alternatywnych strumieniach danych (ADS) są wykonywane z poświadczeniami bieżącego zadania, a nie z poświadczeniami użytkownika, który otworzył uchwyt SMB. Może to prowadzić do ominięcia kontroli dostępu do i-węzłów i polityk LSM.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na zapytanie katalogu. Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_query_directory_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na zapytanie query_info(). Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_query_info_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na żądanie SMB2_ioctl(). Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_ioctl_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na powiadomienie o zmianie (change notify). Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_notify_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na żądanie SMB2_flush(). Funkcja SMB2_flush() utrzymuje księgowość bufora odpowiedzi między próbami odtworzenia. Jeśli odebrano odpowiedź flush nadającą się do odtworzenia, a ponowna próba zawiedzie przed zapisaniem nowej odpowiedzi, flush_exit zwalnia stary wskaźnik odpowiedzi po raz drugi. Poprawka reinicjalizuje resp_buftype i rsp_iov na początku pętli odtwarzania.

W jądrze Linux w mechanizmie devmap broadcast redirect dla BPF wykryto problem z fragmentowanymi ramkami XDP. Klonowanie takich ramek pozostawia flagę XDP_FLAGS_HAS_FRAGS bez prawidłowych metadanych fragmentów, co prowadzi do odczytu poza zakresem podczas zwalniania ramki. Poprawka odrzuca fragmentowane ramki w dev_map_enqueue_clone i dev_map_redirect_clone.

W jądrze Linux wykryto podatność w funkcji nvmet_execute_disc_get_log_page(), która pozwala nieuwierzytelnionemu atakującemu na odczyt poza zakresem zaalokowanej pamięci (out-of-bounds read) podczas przetwarzania żądania Discovery Get Log Page. Brak walidacji przesunięcia (offset) i długości danych umożliwia wyciek wrażliwych danych z pamięci jądra lub wywołanie paniki systemu.

W jądrze Linux w podsystemie NVMe over Fabrics (nvmet-auth) stwierdzono podatność polegającą na braku walidacji granic pól hl i dhvlen w komunikacie DHCHAP_REPLY. Atakujący może wysłać spreparowaną wiadomość z małą długością transferu a dużymi wartościami hl/dhvlen, co prowadzi do odczytu poza stertą.

W jądrze Linux w sterowniku SPI fsl-lpspi naprawiono błąd polegający na tym, że w przypadku niepowodzenia przygotowania DMA dla kanału TX, kanał RX nie był zatrzymywany. Prowadziło to do potencjalnego uszkodzenia pamięci lub błędu use-after-free, ponieważ DMA nadal zapisywał do buforów, które zostały już odmapowane.

W jądrze Linux w komponencie RDMA/rtrs-srv wykryto podatność, w której długość zapisu RDMA-Write nie była ograniczana do rozmiaru bloku (chunk size). Atakujący klient może wysłać spreparowane żądanie READ z zawyżoną długością w deskryptorze, co prowadzi do odczytu pamięci poza mapowanym obszarem bloku.